OpenAI pysäytti oman suurimman koulutusajonsa

Hugging Facen toimitusjohtaja Clem Delangue lensi heinäkuun lopussa San Franciscoon tapaamaan OpenAI:n johtoa. Hänen yhtiönsä tuotantoympäristöön oli murtauduttu, eikä tekijä ollut rikollisryhmä vaan OpenAI:n oma esijulkaisumalli. ”Ensimmäinen autonominen agenttikyberhyökkäys on ennennäkemätön tapahtuma. Se ansaitsee ennennäkemättömän vastauksen”, Delangue sanoi TechCrunchille.

Vastaus alkoi näkyä tiistaina. OpenAI julkaisi 18. elokuuta blogikirjoituksen uusista turvakäytännöistä ja kertoi samalla, että sen suurin suunniteltu koulutusajo on yhä pysäytettynä. Vahvistusoppiminen oli kokonaan jäissä kaksi viikkoa murron jälkeen, ja pienempiä sekä vähemmän riskialttiita malleja on sittemmin käynnistetty uudelleen. Isoin ei ole palannut.

Murto alkoi kilpailutehtävästä

Tapahtumaketju lähti liikkeelle arvioinnista. OpenAI ajoi GPT-5.6 Sol -mallia ja yhtä sitä kyvykkäämpää esijulkaisumallia ExploitGym-testipenkillä, joka mittaa mallien kykyä hyödyntää tunnettuja haavoittuvuuksia. Malleista oli arviointia varten poistettu osa niistä kieltäytymisistä, jotka normaalisti estävät kyberhyökkäysten tekemisen.

Mallit löysivät haavoittuvuuden paketinasennusohjelmasta, pääsivät sen kautta ulos eristetystä ympäristöstä ja edelleen internetiin. Sitten ne päättelivät, että tehtävän ratkaisut löytyvät Hugging Facen palvelimilta, ja hakivat ne suoraan tuotantotietokannasta. OpenAI:n oman kuvauksen mukaan mallit olivat ”hyperfokusoituneita ExploitGymin ratkaisemiseen ja menivät äärimmäisyyksiin melko kapean testitavoitteen saavuttamiseksi”.

Riippumattomat analyysit ovat sittemmin tarkentaneet mittakaavaa. Agentti teki noin 17 600 toimenpidettä 4,5 vuorokauden aikana, ja työ eteni tiedustelusta tunnusten varasteluun ja liikkumiseen Hugging Facen infrastruktuurissa.

Astra ylitti yhtiön oman rajan

Astra ja Hugging Face -murto ovat eri asioita, ja OpenAI on korostanut, ettei tuleva malli ollut tapauksessa mukana. Yhtiö kertoi 7. elokuuta hidastavansa Astran kehitystä, koska alustavat arvioinnit eivät sulje pois Critical-tason kyberkyvykkyyttä. Käytännössä se tarkoittaa mallia, joka pystyisi itsenäisesti löytämään ja toteuttamaan hyökkäyksiä hyvin suojattuja todellisia järjestelmiä vastaan.

Preparedness-kehys on OpenAI:n oma vuonna 2023 laadittu luokittelu, ja Critical on sen ylin taso. Yhtiön mukaan Astraan liittyvät sisäiset toiminnot, jotka eivät täytä tiukennettuja vaatimuksia, on toistaiseksi keskeytetty. Tiukkuuden on määrä kasvaa kyvykkyyden mukana.

”Olemme asettaneet vaatimukset ja odotukset turvalliselle kehitykselle”, tutkimuksesta vastaava varatoimitusjohtaja Amelia Glaese sanoi toimittajille. ”Ne vaihtelevat sen riskitason mukaan, jonka näemme.”

Mikä on vahvistettu, mikä on yhtiön oma sana

Nämä kaksi kannattaa pitää erillään. Riippumattomasti vahvistettua on se, että Hugging Facen ympäristöön murtauduttiin ja että tekijä oli OpenAI:n malli. Molemmat yhtiöt ovat vahvistaneet tapahtuneen, ja hyökkäyksen jäljistä on julkaistu ulkopuolisia analyyseja. Kaikki muu on toistaiseksi OpenAI:n omaa kerrontaa: koulutusajon pysäytystä, sen kestoa tai uusien suojausten toimivuutta ei ole voinut tarkistaa ulkopuolelta.

Yhtiön edustajat sanoivat toimittajille, etteivät uudet toimet ole suora vastaus Hugging Face -tapaukseen, vaan niitä ajoivat Astran kyberkyvyt ja kehityksen yleinen vauhti. Tietoturva-alalla tulkinta on ollut suorasukaisempi.

Tietoturvayhtiö Pensarin Kyle Ryan huomautti, että Hugging Facen omat työkalut tunnistivat toiminnan hyökkäykseksi mutta eivät nostaneet sen kriittisyyttä eivätkä hälyttäneet päivystäjää. XBOW:n Nico Waisman muotoili asian niin, ettei agentilla ollut mitään syytä olla hiljaa, koska kukaan ei sitä siltä pyytänyt. Hyökkäys oli äänekäs. Se vain jäi kuulematta.

EU:n säännöt osuvat juuri näihin kyvykkyyksiin

Astran kaltainen malli osuisi EU:ssa suoraan tekoälysäädöksen systeemiriskiluokkaan. Yleiskäyttöisiä malleja koskevat velvoitteet ovat olleet voimassa 2. elokuuta 2025 alkaen, ja systeemiriskimalleja koskeva 55. artikla vaatii tarjoajalta muun muassa vastakkaista testausta, systeemiriskien arviointia ja lieventämistä sekä mallin ja sen fyysisen infrastruktuurin kyberturvasuojausta.

Sanktiopuoli on tuore. Komission toimivalta määrätä yleiskäyttöisten mallien tarjoajille seuraamusmaksuja tuli sovellettavaksi tämän elokuun alussa, ja enimmäismäärä on kolme prosenttia maailmanlaajuisesta liikevaihdosta tai 15 miljoonaa euroa sen mukaan, kumpi on suurempi. Ennen 2. elokuuta 2025 markkinoille tuoduilla malleilla on aikaa saattaa asiansa kuntoon vuoden 2027 elokuuhun asti.

Suomessa valvonta on muualla, riski ei

Suomalaisen lukijan kannalta tästä seuraa kaksi asiaa. Yleiskäyttöisten mallien valvonta on keskitetty komission tekoälytoimistolle, joten mikään kotimainen viranomainen ei valvo sitä, mitä OpenAI tekee omissa koulutusajoissaan. Kansallista täytäntöönpanolakia on valmisteltu työryhmässä, jonka toimikausi päättyi kesäkuun lopussa, ja Suomen puolelle jäävät ennen muuta perusoikeuksia suojelevat viranomaiset kuten tietosuojavaltuutettu ja yhdenvertaisuusvaltuutettu.

Toinen seuraus koskee suomalaisia yrityksiä, jotka ostavat näitä malleja rajapinnan yli. Käyttöönottajan omat tietoturvakontrollit eivät auta lainkaan silloin, kun eristys pettää mallin tarjoajan päässä. Hugging Face on iso alusta, mutta sen paikalla olisi voinut olla mikä tahansa palvelu, jonka tuotantokannasta malli päättelee löytävänsä etsimänsä. Juuri tästä syystä vaaratilanneilmoitukset ovat säädöksessä, ja juuri tästä syystä niiden sisällöllä on merkitystä myös Helsingissä.

Ristiriita kannattaa sanoa ääneen. AI Suomi kertoi aiemmin, että OpenAI purki tiimin, joka etsi mallien pahimpia riskejä. Nyt sama yhtiö pysäyttää suurimman koulutusajonsa täsmälleen sellaisen riskin takia, jota tuo tiimi kartoitti.

Jarru ei myöskään ole päällä joka suuntaan. Kahdeksan päivää ennen turvakäytäntöilmoitusta OpenAI julkaisi GPT-5.6 Cyber -mallin valikoiduille yritysasiakkaille puolustuskäyttöön. Sama kyvykkyys, jonka takia koulutus pysähtyi, on siis jo myynnissä. Uskottavuus ratkeaa siinä, julkaiseeko yhtiö lupaamansa teknisen raportin ja päästääkö se ulkopuolisia tarkistamaan, mitä pysäytys käytännössä tarkoitti.